Стресс
Напуганный мозг уходит в режим выживания, и на анализ ресурсов не остаётся. «Счёт заблокирован», «против вас возбуждено дело», «вы оплатили заказ на 90 тысяч» — это не про убеждение, это про выключение анализа.
Обучение сотрудников · открытые материалы
Security Awareness
Security awareness — это работа с тем, как человек принимает решение, а не курс, который он проходит раз в год. Сотрудник кликает по ссылке не потому, что не знает про фишинг. Он кликает потому, что в этот момент не думает: спешит, напуган или делает десятое дело одновременно. Поэтому программа обучения, построенная как проверка знаний, разбивается о психологию — и о цифры, которые ниже.
Почему это работает у мошенников
Обманывают не знание, а автопилот
Мозг экономит силы: большинство решений за день человек принимает не рассуждая. Даниэль Канеман называет этот быстрый автоматический режим Системой 1, а медленный аналитический — Системой 2. Мошенник не спорит с Системой 2. Он просто не даёт ей включиться.
Сенсорная перегрузка
Когда одновременно говорят в оба уха, торопят и пугают, человек перестаёт соображать. В офисе это выглядит иначе, но работает так же: сотрудник дописывает срочный отчёт, слышит коллег и читает мессенджер — отсюда письма не тому адресату и клики по чему угодно.
30–39Возраст, который чаще всего доводит разговор с мошенником до перевода денег. Банк России называет близкий диапазон 25–40. Миф про доверчивых пенсионеров цифрами не подтверждается.
7 000Звонков в сутки делает один мошеннический колл-центр при конверсии полтора-два процента. Один удачный звонок окупает всю их инфраструктуру.
7 %Доля сотрудников, которые кликнут по фишинговому письму независимо от обучения. Они просто в этот момент на автопилоте.
Связи между образованием, должностью и потерей денег исследователи не нашли. Подробно о психологии — в моём материале «Почему умные люди верят телефонным мошенникам».
Главное следствие
Цель — не ноль кликов, а скорость сообщения
Семь процентов кликнут всегда. Значит программа, которая обещает руководству ноль, заранее провалена, а служба безопасности, которая отчитывается долей кликнувших, меряет не то.
Что мерить вместо клика
Сколько людей дошло до ввода пароля, а не просто открыло письмо. Между кликом и введённым паролем лежит вся разница для инцидента.
Время до сообщения
Сколько минут прошло от письма до сигнала в службу безопасности. Это единственная метрика, которая прямо сокращает ущерб.
Доля сообщивших
Сколько получателей написали о подозрительном письме. Растёт она только там, где за сообщение не наказывают.
Из чего это собирается
Шесть частей программы
По отдельности не работает ни одна. Курс без практики забывается, рассылка без объяснения превращается в ловушку и в конфликт с сотрудниками.
01
Объяснение механики, а не списка правил
Человек запоминает не «не переходите по ссылкам», а то, как его выключают: спешка, страх, авторитет, дефицит времени. Правило забывается, механика узнаётся.
Проверка простая: сотрудник должен уметь назвать, чем его пытались продавить, а не перечислить признаки фишингового письма.
02
Имитация фишинга с разбором
Рассылка показывает, что происходит с конкретными людьми в конкретной обстановке. Ценность не в проценте кликнувших, а в разговоре после: что именно сработало и на чём человек не остановился.
Без разбора имитация превращается в ловушку, за которую людям стыдно, — и в следующий раз они просто не сообщат.
03
Разные материалы для разных ролей
Бухгалтерию обманывают счетами и сменой реквизитов, разработчиков — пакетами и токенами, руководителей — просьбой от имени первого лица. Общий курс для всех проигрывает каждому из этих сценариев.
Отдельная задача — топ-менеджмент: это самая занятая и самая ценная для атакующего группа.
04
Польза вне работы
Сотрудник считает, что от атак его защищает служба безопасности, и обучение для него — повинность. Сопротивление снимается там, где знание полезно ему самому: его деньги, его родители, его дети, его подписки и пароли.
Это же переводит тему из «нас проверяют» в «мне объясняют», а без такого перевода культура не меняется.
05
Ритм вместо годового курса
Короткие повторы, разборы свежих случаев и обновление материалов под новые схемы. Одно большое обучение раз в год выпадает из памяти ровно к моменту, когда понадобится.
Схемы меняются быстрее, чем расписание обучения: голосовые подделки и переписка от имени коллеги — это уже не будущее.
06
Простой канал сообщения
Одна кнопка или один адрес, куда пишут о подозрительном, и понятное правило: сообщившему ничего не будет. Всё остальное обучение бессмысленно, если человеку некуда пойти с подозрением.
Именно эта часть даёт метрику времени до сообщения, ради которой программа и существует.
Чего делать не надо
Три способа испортить программу
Наказывать за клик
Штраф учит не осторожности, а молчанию. Вы теряете самый быстрый канал обнаружения — самого сотрудника — и узнаёте об инциденте от кого-то другого и позже.
Отдать культуру на аутсорс
Платформу и материалы подрядчик закроет. Но он не участвует в разборе ваших инцидентов и не меняет то, как у вас принято реагировать на ошибку. Форма обучения — не его результат.
Отчитываться процентом кликнувших
Цифра красивая и почти ничего не значит: семь процентов не уберутся никогда, а остальное зависит от того, какое письмо вы выбрали для рассылки.
Разговор с практиком
Почти два часа с Ольгой Лимоновой о том, как это делается
Ольга занимается security awareness профессионально, и разговор получился не про теорию, а про работу: какие KPI ставят такому специалисту, что делать с «необучаемыми» сотрудниками, почему внедрение приводит к конфликтам и чем отличаются платформы, за которые компании платят.
- 15:25Три темы, на которые чаще всего делают фишинговые письма
- 26:40Как оценивать эффективность обучения и с чего начинать
- 31:35Насколько сложно обучать топ-менеджеров
- 42:30Что делать с сотрудниками, которые повторяют одни и те же ошибки
- 1:00:02Чем отличаются платформы и сколько они стоят
- 1:27:15Почему аутсорс не меняет культуру компании
Видео загрузится только после нажатия: до этого страница не обращается к YouTube. Открыть на YouTube ↗
Частые вопросы
Что спрашивают про обучение сотрудников
Можно ли довести долю кликнувших до нуля
Нет. Около семи процентов сотрудников кликнут в любом случае: в момент получения письма человек занят, тороплив или напуган, и решение принимается на автопилоте, без анализа. Программа, которая ставит целью ноль, обречена считаться проваленной. Реальная цель другая: снизить долю тех, кто доходит до ввода пароля, и сократить время до сообщения в службу безопасности.
Надо ли наказывать за переход по фишинговой ссылке
Наказание учит не осторожности, а молчанию. Сотрудник, которого штрафуют за клик, в следующий раз не сообщит об инциденте, и вы потеряете единственный быстрый канал обнаружения. Считать надо не клики, а сообщения: чем больше людей пишет в службу безопасности и чем быстрее, тем лучше работает программа.
Что важнее — курсы или имитация фишинга
Это разные инструменты. Курс объясняет, как устроен обман, имитация показывает, что происходит с конкретным человеком в конкретной обстановке. По отдельности не работает ни то ни другое: курс без практики забывается, рассылка без объяснения превращается в ловушку для сотрудников и в повод для конфликта.
Можно ли отдать security awareness на аутсорс
Материалы, платформу и рассылки — да. Культуру — нет. Подрядчик не знает ваших процессов, не участвует в разборе инцидентов и не может изменить то, как в компании принято реагировать на ошибку. Внешняя услуга закрывает форму обучения, а не его результат.
Как часто повторять обучение
Регулярно и короткими порциями, а не один раз в год большим курсом. Разовое обучение выпадает из памяти к моменту, когда оно понадобится. Работает ритм: короткие напоминания, разборы свежих случаев, имитации с разбором и обновление материалов под новые схемы обмана.
Почему обучение вызывает сопротивление сотрудников
Потому что для сотрудника это чужая задача: он считает, что от атак его должна защищать служба безопасности. Сопротивление снимается не приказом, а связью с его собственной жизнью: те же схемы обмана применяются к его деньгам, его родителям и его детям. Обучение, которое полезно человеку вне работы, перестаёт быть повинностью.
Рядом по теме
Что ещё почитать и посмотреть
Разговор с Ольгой Лимоновой
Полтора часа про профессию: KPI обучения, работа с топ-менеджментом, «необучаемые» сотрудники, платформы и почему аутсорс не меняет культуру.
Правила для работы с ИИ
Обучение сотрудников упирается в тот же вопрос, что и ИИ: что человеку можно отправлять во внешний сервис, а что нельзя. Готовый регламент — на сайте.
Что уже запущено без спроса
Вторая половина той же задачи: люди пользуются сервисами, о которых компания не знает. Как это находить — на отдельной странице.
Разобрать вашу ситуацию
Помогу собрать программу под вашу компанию
Обучение команды на ваших сценариях: какие схемы обмана применяются именно к вам, что писать в правилах, чем мерить результат и как сделать так, чтобы о подозрительном сообщали, а не молчали.